Une sauvegarde automatique est une copie programmée des données d’un système, déclenchée à intervalles réguliers sans intervention humaine. Lors d’une attaque par ransomware, cette copie permet de restaurer les fichiers chiffrés sans céder au chantage financier. Les sauvegardes automatiques réduisent le temps d’indisponibilité et limitent la perte de données, à condition qu’elles soient elles-mêmes protégées contre les attaquants.
Pourquoi les dépôts de sauvegarde sont ciblés par les ransomwares
Les groupes de ransomware ne se contentent plus de chiffrer les serveurs de production. Leur stratégie a évolué : neutraliser les sauvegardes avant même de déclencher le chiffrement visible sur le réseau principal.
Le Veeam Ransomware Trends Report 2024 fournit des chiffres parlants : les dépôts de sauvegarde ont été visés dans 96 % des attaques et compromis avec succès dans 76 % des cas. La perte définitive moyenne atteint 43 % des données touchées. Un tiers des dépôts ont été modifiés ou supprimés avant même que le ransomware ne soit détecté sur les systèmes principaux.
Ce constat change la donne. Disposer d’une sauvegarde automatique ne suffit pas si elle reste accessible sur le même réseau que les machines infectées. Un ransomware qui atteint le dépôt de sauvegarde annule la seule ligne de repli dont dispose l’entreprise.
Sauvegarde immuable : le mécanisme qui bloque la compromission
Une sauvegarde immuable est une copie qui ne peut être ni modifiée, ni supprimée, ni chiffrée pendant une durée définie, y compris par un compte administrateur compromis. Le principe repose sur un verrouillage au niveau du stockage lui-même, souvent appelé WORM (Write Once, Read Many).
L’ANSSI, via le référentiel ReCyF, recommande explicitement l’utilisation de sauvegardes immuables et isolées pour les organisations soumises à des obligations de continuité. Le règlement européen DORA renforce cette exigence pour le secteur financier en imposant des tests réguliers de restauration à partir de ces copies protégées.
Différence entre isolation et immuabilité
L’isolation consiste à déconnecter physiquement ou logiquement le support de sauvegarde du réseau (air gap). L’immuabilité, elle, agit au niveau logiciel : même connectée, la copie refuse toute altération. Les deux approches se complètent.
- L’isolation physique (air gap) protège contre un attaquant qui a pris le contrôle total du réseau, mais impose des contraintes de manipulation et de fréquence
- L’immuabilité logicielle permet des sauvegardes fréquentes et automatisées, tout en résistant aux tentatives de suppression par un compte compromis
- La combinaison des deux, recommandée par l’ANSSI, offre une protection contre les scénarios où l’attaquant dispose de privilèges élevés pendant une longue période avant détection
Règle de sauvegarde 3-2-1 appliquée aux attaques informatiques
La règle 3-2-1 structure la répartition des copies : trois copies des données, sur deux types de supports différents, dont une hors site. Cette règle, issue des bonnes pratiques du NIST (SP 800-209), prend un sens particulier face aux ransomwares.
La copie hors site empêche qu’une seule intrusion détruise toutes les versions disponibles. En pratique, pour une PME, cela peut se traduire par une sauvegarde locale sur un NAS isolé et une réplication chiffrée vers un stockage cloud distinct du réseau d’entreprise.
Fréquence et granularité de restauration
La fréquence de la sauvegarde automatique détermine la quantité de données perdues en cas d’attaque. Une entreprise qui sauvegarde toutes les quatre heures perdra au maximum quatre heures de travail. Une sauvegarde quotidienne expose à une journée complète de perte.
Le choix dépend du volume de données modifiées et du coût acceptable de reconstitution. Les sauvegardes incrémentales, qui ne copient que les fichiers modifiés depuis la dernière sauvegarde, permettent d’augmenter la fréquence sans saturer le stockage.
Tester la restauration : le point faible des PME face aux cyberattaques
Disposer de sauvegardes automatiques ne garantit rien si la procédure de restauration n’a jamais été testée. Le NIST, dans ses recommandations CP-4 sur les tests de plans de contingence, insiste sur la nécessité de simuler régulièrement une restauration complète pour vérifier l’intégrité des copies et la durée réelle de reprise.
En pratique, beaucoup de PME découvrent lors d’un incident que leurs sauvegardes sont corrompues, incomplètes ou inutilisables. Le test de restauration révèle ces problèmes avant qu’ils ne deviennent critiques.
- Vérifier que les fichiers restaurés sont exploitables et complets, pas seulement que l’archive existe
- Mesurer le temps réel de restauration pour évaluer la durée d’interruption d’activité
- Documenter la procédure pour qu’un collaborateur autre que l’administrateur principal puisse l’exécuter
- Planifier ces tests au minimum une fois par trimestre, en conditions proches d’un incident réel
Chiffrement des sauvegardes et sécurité du stockage cloud
Une sauvegarde automatique stockée en clair sur un cloud mal configuré crée un risque de fuite de données en plus du risque ransomware. Le chiffrement des sauvegardes avant transfert vers le stockage distant protège la confidentialité même si l’espace de stockage est compromis.
Le chiffrement doit être appliqué côté client, avant l’envoi, avec des clés gérées indépendamment du prestataire cloud. Si le fournisseur de stockage subit une intrusion, les données restent illisibles sans la clé détenue par l’entreprise.
Pour les entreprises soumises au RGPD, cette approche répond aussi à l’obligation de protéger les données personnelles y compris dans les copies de sauvegarde, un point souvent négligé dans les plans de sécurité.
La sauvegarde automatique reste le filet de sécurité le plus fiable contre les ransomwares, à condition de traiter la copie elle-même comme un actif à protéger. Une sauvegarde accessible, non testée et non chiffrée offre une fausse assurance. Les organisations qui appliquent l’immuabilité, l’isolation et le test de restauration réduisent drastiquement l’impact financier et opérationnel d’une attaque.
